网数小课堂丨员工个人信息保护合规清单分享
免费
吴丹君
时长/课时：8分钟/0.19课时
1个月之前
员工个人信息保护是处于各行各业的用人单位均无法忽视的问题。告知同意是处理员工个人信息的基本原则，用人单位在收集、使用、对外提供员工个人信息等处理活动中，需明确告知员工相应个人信息处理规则，并获取员工同意，该告知行为及同意声明最好以书面方式进行。
然而，由于员工与用人单位间存在身份、组织和经济上的从属关系，为降低被认定为借助优势地位迫使员工同意的风险，用人单位需注意员工的同意是否是其真实意思表示，使最小必要原则贯穿个人信息处理活动始终，将个人信息处理范围、目的、方式等严格限制在最小必要范围之内。
下表从制度构建、日常管理、对外提供、招聘及离职等多个环节总结员工个人信息合规要点，以供参考。
员工个人信息保护合规清单（简表）
员工个人信息保护制度构建 | |
是否建立员工个人信息保护制度？ | □是 □否 |
是否通过适当的方式（劳动手册、员工手册、公司规章等）向员工明确告知员工个人信息保护制度（范围、目的、处理方式等），并让员工阅读知悉并签字同意？ | □是 □否 |
是否将非法处理员工个人信息的行为列举为重大违纪行为，以降低以非法处理员工个人信息为由解除劳动关系的法律风险？ | □是 □否 |
是否明确员工个人信息保护责任人？ | □是 □否 |
是否建立员工个人信息分级分类保护机制，根据部门及岗位职责设计不同的员工个人信息访问权限？ | □是 □否 |
是否与可接触、处理员工个人信息的岗位人员（比如财务人员、档案管理人员、人事部员工等）签署保密协议？ | □是 □否 |
是否将员工个人信息的处理范围限制在必要范围之内？（比如在办理入职手续时仅处理姓名、年龄、学历、工作经历等“与劳动合同直接相关”的个人信息，而不得收集婚育情况、宗教信仰等与劳动合同并不直接相关的个人信息） | □是 □否 |
当存储的员工个人信息存在错误或超出同意范围时，是否给予员工必要有效的救济渠道？ | □是 □否 |
是否定期开展员工个人信息保护培训，并做好留痕工作？ | □是 □否 |
是否建立员工个人信息安全事件应急机制？ | □是 □否 |
日常管理中的员工个人信息保护 | |
是否引入基于指纹、声纹、面部数据等生物识别信息或地理位置、行踪轨迹等信息的考勤系统？ | □是 □否 |
是否提供其他可替代的考勤方式供员工选择？ | □是 □否 |
在办公区域安装监控设备时，是否事先对员工进行明确告知，并在视频采集区域设置明显的标识？ | □是 □否 |
是否存在在非公开办公区域（比如个人办公室、更衣室）安装监控设备的情况？ | □是 □否 |
是否会对员工的工作邮箱、电话、其他信息系统进行监控？在采取前述监控措施前，是否向员工明确告知用人单位对公司设备、邮箱、系统等采取的监控措施和形式，并明确告知用人单位可监控的信息范围？ | □是 □否 |
企业在引入前述可能采集员工个人敏感信息的考勤系统或监控设备前，是否对设备安装的必要性与风险进行评估，是否征求员工意见？ | □是 □否 |
企业在收集前述面部数据等个人敏感信息时，是否在实现相应目的后及时删除原始数据，仅存储摘要信息或尽可能本地化部署系统服务器或识别算法？ | □是 □否 |
对外提供或委托处理中的员工个人信息保护 | |
对外提供或委托处理员工个人信息是否出于合法、必要的目的（比如代缴社保、绩效分析、业务外包、背景调查等），并将员工个人信息的类型、数量、颗粒度控制在必要范围之内？ | □是 □否 |
在对外提供或委托处理员工个人信息前是否明确向员工告知，并获取员工的明示同意？ | □是 □否 |
是否对接收方的个人信息保护能力和相关业务资质进行评估？ | □是 □否 |
是否与接收方签订协议以明确个人信息保护义务？ | □是 □否 |
需向境外提供员工个人信息时，是否就该事项获取员工的单独同意？ | □是 □否 |
是否对员工个人信息的跨境流动活动进行事先风险评估并采取相应的安全保障措施？ | □是 □否 |
是否与境外员工个人信息接收者签订个人信息保护协议？ | □是 □否 |
招聘过程中的个人信息保护 | |
通过自运营的APP、公众号、小程序、网站等平台收集应聘者简历时，是否制定符合相关法律规定的隐私政策或个人信息保护政策？ | □是 □否 |
通过第三方招聘平台、猎头公司、劳务派遣公司等外部机构获取应聘者或劳务派遣人员个人信息时，是否与外部机构核实该个人信息来源的合法性及个人信息主体的同意范围？ | □是 □否 |
通过外部机构获取的个人信息超出个人信息主体的同意范围的，是否要求外部机构或自行向该个人信息主体重新告知并获取同意？ | □是 □否 |
与关联公司共享应聘者个人信息的，是否进行事前告知并获取同意？ | □是 □否 |
自行或委托第三方调查机构对应聘者进行背景调查时，是否以书面形式告知背景调查涉及的个人信息范围、目的、使用方式以及第三方调查机构的名称等相关信息，并请应聘者签字同意，且将个人信息处理活动限制在必要范围内？ | □是 □否 |
引入具备自动决策机制的信息系统对应聘者进行筛选的，在规划设计阶段或首次使用前是否开展个人信息安全影响评估，并依评估结果采取有效的保护个人信息主体的措施？ | □是 □否 |
是否在使用过程中定期（至少每年一次）对上述信息系统开展个人信息安全影响评估，并依评估结果改进个人信息保护措施？ | □是 □否 |
采用自动决策机制对应聘者进行筛选的，是否对应聘者提供针对自动决策结果的投诉渠道，并支持对自动决策结果的人工复核？ | □是 □否 |
招聘环节结束后，是否及时对未录用者的个人信息进行删除、销毁或匿名化处理？ | □是 □否 |
离职员工的个人信息保护 | |
是否对离职员工的个人信息进行分级分类，并根据法律的不同要求进行存储？ | □是 □否 |
在法定的存储期限结束或已无必要存储时，是否及时对离职员工的个人信息进行删除、销毁或匿名化处理？ | □是 □否 |
需继续处理离职员工个人信息的，是否重新向离职员工进行告知并获取同意，或者具备其他合法性基础？ | □是 □否 |
在第三方调查机构或招聘企业向企业收集离职员工的个人信息时，是否核实离职员工的背景调查同意声明，并将提供的个人信息限制在必要范围之内？ | □是 □否 |
作者：吴丹君律师 张振君律师助理
来源：微信公众号“大数据法律研究”
精选评论
（2）-
-
方律师
告知同意是处理员工个人信息的基本原则，用人单位在收集提供员工个人信息等处理活动中，需明确告知员工相应个人信息处理规则，并获取员工同意，该告知行为及同意声明最好以书面方式进行。
2021-05-28点赞：0 回复
还可以输入 280个字 回复
公司决议下次，股东是否打赏的卡死了肯德基阿里
声音
- 情感童声
- 性感男声
- 特别男声
- 普通男声
- 普通女声
语速
- 0.7X
- 1.0X
- 1.5X
- 2X
- 3X
- 4X
字号
- 特大
- 大
- 标准
- 小
作者
- 文章156
- 读者52w
- 关注25
- 点赞435
观韬中茂上海办公室合伙人，律商联讯LexisNexis网络安全合规专家、首席数据官联盟专家组成员及法律顾问、深圳市大数据研究与应用协会法律专家。
专注于互联网、数据信息合规领域，就网络安全和数据信息的合规事项为客户提供咨询及全流程合规整改服务。精耕于网络安全合规领域.
执业领域:
互联网|数据信息、兼并收购、外商直接投资、酒店等
曾为众多跨国公司和外国公司的在华投资、并购以及日常运营提供法律服务。
我也要当作者思想共享 知识变现
猜你喜欢
换一换作者推荐
换一换
常见问题
-
1、“点读”是什么？
点读是点睛网APP中的一款全民学法的人工智能（AI）新产品。它能“识字”和“朗读”，它使“读屏”变“听书”，解放读者的眼睛和颈椎。它使“讲课”变“写作”，解放讲师的时间和身心。
-
2、“点读”的作者？
在点睛网PC或APP端注册，登录点睛网PC端个人后台，点击“我的文章”，填写作者信息并上传文章。当第一篇文章通过编辑审核后，即成为点睛网的正式作者。
-
3、“点读”的文章？
作者在点睛网个人中心发布文章，编辑审核合格的才能呈现给读者。作者只能发布自己写的文章，不能发布或转发他人的文章。更不能发布有违法律法规、政府规定，或公序良俗、文明风尚、社会和谐等文章。
-
4、“点读”的审核？
作者文章上传后，编辑将在工作日最晚不超过24个小时、非工作日最晚不超过48个小时内完成审核。审核未通过的，说明理由。文章评论的审核，参照以上周期。